[论文解读] Malware Detection using Attribute-Automata to parse Abstract Behavioral Descriptions

Jacob, Gregoire, Debar, Herve+1 more|ArXiv.org|Feb 2, 2009

Advanced Malware Detection Techniques参考文献 10被引用 7

一句话总结

本文提出了一种通用的、两层式恶意软件检测框架，利用属性自动机解析抽象行为描述。通过使用带有语义规则的数据流追踪和对象类型识别的属性语法，将平台特定的抽象与通用检测解耦，实现了对 VBScript 恶意软件 89% 的检测率和对 PE 可执行文件 51% 的检测率，且误报率极低。

ABSTRACT

Most behavioral detectors of malware remain specific to a given language and platform, mostly PE executables for Windows. The objective of this paper is to define a generic approach for behavioral detection based on two layers respectively responsible for abstraction and detection. The first abstraction layer remains specific to a platform and a language. This first layer interprets the collected instructions, API calls and arguments and classifies these operations as well as the involved objects according to their purpose in the malware lifecycle. The second detection layer remains generic and is totally interoperable between the different abstraction components. This layer relies on parallel automata parsing attribute-grammars where semantic rules are used for object typing (object classification) and object binding (data-flow). To feed detection and to experiment with our approach we have developed two different abstraction components: one processing system call traces from native code and one processing the VBScript interpreted language. The different experimentations have provided promising detection rates, in particular for script files (89%), with almost none false positives. In the case of process traces, the detection rate remains significant (51%) but could be increased by more sophisticated collection tools.

研究动机与目标

• 开发一种通用的、与平台和编程语言无关的恶意软件行为检测方法，能够抵抗通过功能混淆进行的逃避攻击。
• 将系统级观测的抽象与检测逻辑解耦，实现模块化和可扩展的设计。
• 使用带有语义规则的属性语法建模恶意行为，实现恶意软件生命周期中的数据流控制和对象分类。
• 在真实世界数据上评估该方法，使用两个抽象组件：一个用于原生 PE 跟踪，一个用于 VBScript。
• 展示高检测率、低误报率以及在现代硬件上的高效性能。

提出的方法

• 该框架采用两层架构：抽象层将平台特定事件（如系统调用、脚本操作）映射为通用行为模型，检测层则使用属性自动机解析该模型。
• 属性语法定制了有效行为序列的句法规则，以及用于对象类型识别（如“安装”、“通信”）和数据流绑定（污染标记）的语义规则。
• 检测层采用确定性有限自动机解析抽象行为日志，时间复杂度为线性，且栈空间使用量低。
• 抽象组件将原始系统跟踪（PE）和脚本执行（VBScript）转换为标准化日志，分别将数据量减少 29 倍和 6 倍。
• 通过并行解析和实时钩子优化性能，降低离线分析中昂贵字符串比较的依赖。
• 在解析过程中测量歧义比率（α）以检测异常；高 α 值与恶意活动存在强相关性。

实验结果

研究问题

• RQ1 能否使用带有数据流和对象类型识别语义规则的属性语法，构建一个通用的、与平台无关的恶意软件行为模型？
• RQ2 抽象层是否能够将平台特定分析与通用检测解耦，从而实现独立更新并提升可维护性？
• RQ3 属性自动机解析在不同平台和编程语言上检测已知恶意软件行为的能力如何，且误报率是否较低？
• RQ4 数据收集机制和数据压缩对检测性能与可扩展性有何影响？
• RQ5 解析过程中的歧义比率是否可作为恶意行为的可靠指标？

主要发现

• 该框架对 Visual Basic Script 恶意软件实现了 89% 的检测率，且几乎无误报，表明其在解释型语言上的表现强劲。
• 对于原生 PE 可执行文件，检测率为 51%，该结果仍具显著意义，且预计随着收集工具的增强而进一步提升。
• 抽象层将 PE 跟踪数据减少了 29 倍，VBScript 日志减少了 6 倍，显著提升了存储与处理效率。
• 检测性能极为高效：在双核 2.6GHz 硬件上，PE 日志平均处理时间为 0.14 秒，VBScript 日志处理时间低于 0.001 秒。
• 解析过程中使用的最大栈空间极低——句法栈最大深度为 7，语义栈最大深度为 3，表明内存开销极小。
• 歧义比率（α）始终远低于最坏情况估计值（α ≈ α·nₑ，而非 2ⁿₑ），表明实际解析复杂度可控且具备可扩展性。